2026年移动安全工程师考试题库（附答案和详细解析）（0114）.docxVIP

移动安全工程师考试试卷

一、单项选择题（共10题，每题1分，共10分）

Android应用中，控制组件是否可被其他应用调用的关键属性是（）。

A.android:enabled

B.android:exported

C.android:permission

D.android:process

答案：B

解析：Android组件（如Activity、Service）的android:exported属性直接控制组件是否可被其他应用调用（true为允许，false为仅自身调用）。选项A（enabled）控制组件是否启用；选项C（permission）用于限制调用权限；选项D（process）控制组件运行的进程，均不直接决定跨应用调用权限。

iOS应用沙盒机制的核心作用是（）。

A.加速应用运行

B.限制应用间数据访问

C.增强图形渲染能力

D.优化电池续航

答案：B

解析：iOS沙盒机制通过文件系统隔离，限制应用只能访问自身目录下的文件和系统分配的资源，防止应用间非法数据访问。其他选项均与沙盒的安全隔离目的无关。

以下哪种攻击方式专门针对移动应用的代码逻辑漏洞？（）

A.中间人攻击（MITM）

B.SQL注入

C.重打包攻击

D.钓鱼攻击

答案：B

解析：SQL注入攻击利用应用代码中未对用户输入进行有效过滤的漏洞，通过拼接恶意SQL语句获取或破坏数据库数据。选项A针对通信链路；选项C针对应用二次打包；选项D针对用户交互，均不直接针对代码逻辑。

移动应用使用HTTPS通信时，若未校验服务端证书，可能导致（）。

A.数据加密强度下降

B.中间人攻击成功

C.客户端证书泄露

D.传输速度变慢

答案：B

解析：未校验服务端证书时，攻击者可伪造证书建立虚假HTTPS连接，实施中间人攻击（MITM），截获或篡改传输数据。选项A（加密强度）由算法决定；选项C（客户端证书）与服务端校验无关；选项D（速度）与证书校验无直接关联。

Android中，用于检测应用是否被调试的API是（）。

A.Debug.isDebuggerConnected()

B.Process.killProcess()

C.Context.getPackageManager()

D.ActivityManager.getRunningTasks()

答案：A

解析：Debug.isDebuggerConnected()是Android提供的调试状态检测API，可判断是否有调试器连接。选项B用于终止进程；选项C用于获取包管理器；选项D用于获取运行任务，均与调试检测无关。

移动应用加固的主要目的是（）。

A.提升应用启动速度

B.防止代码被逆向分析

C.优化用户界面交互

D.减少内存占用

答案：B

解析：加固技术（如代码混淆、虚拟化、反调试）通过增加逆向分析难度，保护应用核心逻辑和敏感代码。其他选项属于性能优化范畴，非安全加固目标。

iOS应用使用Keychain存储数据的主要优势是（）。

A.支持跨应用数据共享

B.数据加密存储且不受沙盒限制

C.存储容量无限制

D.无需权限申请

答案：B

解析：iOSKeychain通过系统级加密存储敏感数据（如密码、令牌），且数据存储位置独立于应用沙盒（应用卸载后仍可保留），安全性高于普通沙盒存储。选项A（跨应用共享）需配置共享组；选项C（容量）有限制；选项D（权限）需应用签名授权。

以下哪种行为符合移动应用数据安全最佳实践？（）

A.将用户密码明文存储在SharedPreferences

B.对敏感数据传输使用AES-128加密

C.在日志中打印用户身份证号

D.使用HTTP传输支付信息

答案：B

解析：对敏感数据传输使用对称加密（如AES-128）是基本安全要求。选项A（明文存储）、C（日志泄露）、D（HTTP传输）均违反数据安全规范。

移动应用中，动态调试防护的关键技术不包括（）。

A.反调试检测

B.代码混淆

C.虚拟机保护

D.界面美化

答案：D

解析：动态调试防护需通过反调试检测（如检测调试器进程）、代码混淆（增加分析难度）、虚拟机保护（如将关键代码运行在自定义VM中）实现。界面美化与调试防护无关。

以下哪项是移动应用通信安全的典型威胁？（）

A.应用内存溢出

B.会话劫持

C.界面卡顿

D.应用崩溃

答案：B

解析：会话劫持通过窃取或伪造会话令牌（如Cookie、JWT）非法获取用户权限，是通信安全的典型威胁。其他选项属于应用性能或稳定性问题。

二、多项选择题（共10题，每题2分，共20分）

Android组件安全风险包括（）。

A.Activity未限制导出导致任意启动

B.Service被外部应用绑定获取敏感数据

C